Operation Highland: Come Velvet Ant si è nascosta nel login di Linux per un decennio
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d... Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione d...
Pubblicato daModificato con DeepSeek-V4-ProImmagini generate con GPT Image 1.5
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d...
Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione delle password si sono rivelate del tutto inefficaci, perché i binari di autenticazione manomessi apparivano identici a qu...
L'operatività del gruppo si basa su una pazienza estrema e sulla sovversione del livello di autenticazione, il che rende cruciale per i difensori implementare un monitoraggio dell'integrità dei file a livello crittogr...
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
L'azienda israeliana di incident response Sygnia ha pubblicato i risultati di un'indagine, denominata Operation Highland, che svela una delle campagne di spionaggio informatico più disciplinate e longeve che si ricordino. L'attività è attribuita con alta confidenza a un gruppo legato alla Cina, tracciato da Sygnia come Velvet Ant. L'operazione non si distingue per un singolo zero-day rivoluzionario, ma per un'idea spietatamente semplice: annidarsi nel software che decide chi può fare il login.
L'intrusione decennale, passo dopo passo
La rete vittima era priva di connessione diretta a Internet e ospitava sistemi altamente sensibili. La timeline forense di Sygnia indica che gli aggressori hanno preso piede almeno a partire dal 2016, garantendo al gruppo una permanenza all'interno dell'ambiente di quasi dieci anni .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operation Highland: Come Velvet Ant si è nascosta nel login di Linux per un decennio"?
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d...
What are the key points to validate first?
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d... Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione delle password si sono rivelate del tutto inefficaci, perché i binari di autenticazione manomessi apparivano identici a qu...
What should I do next in practice?
L'operatività del gruppo si basa su una pazienza estrema e sulla sovversione del livello di autenticazione, il che rende cruciale per i difensori implementare un monitoraggio dell'integrità dei file a livello crittogr...
Operation Highland: Come Velvet Ant si è nascosta nel login di Linux per un decennio
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d... Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione d...
Pubblicato daModificato con DeepSeek-V4-ProImmagini generate con GPT Image 1.5
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d...
Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione delle password si sono rivelate del tutto inefficaci, perché i binari di autenticazione manomessi apparivano identici a qu...
L'operatività del gruppo si basa su una pazienza estrema e sulla sovversione del livello di autenticazione, il che rende cruciale per i difensori implementare un monitoraggio dell'integrità dei file a livello crittogr...
What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and mVelvet Ant’s Operation Highland campaign subverted the Linux login system itself — replacing core authentication binaries to maintain access for nearly a decade. Image generated by AI.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What did Sygnia's forensic investigation of "Operation Highland" reveal about how the China-linked threat group Velvet Ant compromised and m. Article summary: ## Sygnia's "Operation Highland" Findings on Velvet Ant. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Discover the detailed forensic investigation by Sygnia into the sophisticated cyber attack by Velvet Ant on a major organization. The investigation confirmed the threat actor maint" source context "China-Nexus Threat Group 'Velvet Ant' Abuses F5 Load Balancers ..." Reference image 2: visual subject "Velvet Ant Activity Detection: China-Backed Cyber-Espionage Group Launches a Prolonged Attack Using Malware Deployed on the F5 BIG-IP Devices. The China-linked cyber-espionage gr
openai.com
L'azienda israeliana di incident response Sygnia ha pubblicato i risultati di un'indagine, denominata Operation Highland, che svela una delle campagne di spionaggio informatico più disciplinate e longeve che si ricordino. L'attività è attribuita con alta confidenza a un gruppo legato alla Cina, tracciato da Sygnia come Velvet Ant. L'operazione non si distingue per un singolo zero-day rivoluzionario, ma per un'idea spietatamente semplice: annidarsi nel software che decide chi può fare il login.
L'intrusione decennale, passo dopo passo
La rete vittima era priva di connessione diretta a Internet e ospitava sistemi altamente sensibili. La timeline forense di Sygnia indica che gli aggressori hanno preso piede almeno a partire dal 2016, garantendo al gruppo una permanenza all'interno dell'ambiente di quasi dieci anni .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Operation Highland: Come Velvet Ant si è nascosta nel login di Linux per un decennio"?
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d...
What are the key points to validate first?
L'indagine "Operation Highland" di Sygnia ha rivelato che il gruppo Velvet Ant, legato alla Cina, è rimasto nascosto per quasi dieci anni in una rete critica non connessa a internet, sostituendo i moduli pam unix.so d... Le contromisure standard come la rimozione di file, la terminazione di processi e la rotazione delle password si sono rivelate del tutto inefficaci, perché i binari di autenticazione manomessi apparivano identici a qu...
What should I do next in practice?
L'operatività del gruppo si basa su una pazienza estrema e sulla sovversione del livello di autenticazione, il che rende cruciale per i difensori implementare un monitoraggio dell'integrità dei file a livello crittogr...
Il punto d'ingresso. La violazione è probabilmente iniziata attraverso un vecchio appliance F5 BIG-IP esposto su Internet e mai aggiornato, che l'organizzazione non aveva dismesso. Una volta ottenuto il controllo dell'appliance, gli aggressori l'hanno usato come punto di snodo per muoversi più in profondità, raggiungendo infine il segmento interno isolato dalla rete .
Come funzionava la backdoor
Invece di rilasciare malware personalizzato che scanner e sistemi di rilevamento endpoint avrebbero potuto prima o poi identificare, Velvet Ant ha sovvertito l'architettura di fiducia del sistema operativo. Su decine di host, il gruppo ha sistematicamente sostituito i componenti fondamentali dell'autenticazione Linux Nello specifico, il modulo di autenticazione pluggable pam_unix.so e diversi binari di OpenSSH con versioni trojanizzate .
Da un singolo impianto derivavano due capacità distinte:
Scavalcamento con password universale. I moduli contaminati contenevano una password segreta cablata nel codice. Qualsiasi account utente poteva essere accessibile usando solo questa password, aggirando completamente la normale autenticazione. Anche se gli amministratori avessero ruotato tutte le credenziali, gli aggressori avrebbero potuto comunque entrare indisturbati .
Raccolta silenziosa di credenziali. Ogni evento di login legittimo veniva catturato in tempo reale. Le password in chiaro di ogni utente che si autenticava venivano scritte in un file nascosto situato in /usr/share/awk/nullfile.awk. Questo ha permesso a Velvet Ant di collezionare credenziali valide dell'intera base utenti senza generare il rumore di rete tipico di un movimento laterale .
Perché la bonifica standard ha fallito
I tradizionali manuali di incident response non sono pensati per un nemico che ha ricompilato i binari di login del tuo sistema operativo. Il report di Sygnia chiarisce perché i primi tentativi di bonifica fallirono:
Lacuna di bonifica. La procedura standard rimuovere file sospetti, terminare processi malevoli, ruotare tutte le password non ha avuto alcun effetto sul principale meccanismo di persistenza degli aggressori. Il modulo pam_unix.so e i binari SSH trojanizzati erano file di sistema legittimi a tutti gli effetti, tranne che nella loro logica compilata .
Mascheramento dei metadati. Gli aggressori hanno preservato nomi, percorsi, timestamp e dimensioni approssimativamente uguali a quelli dei file originali. Qualsiasi controllo di integrità dei file basato solo sui metadati, una pratica comune in molti ambienti aziendali non vedeva nulla di anomalo .
Inutilità della rotazione delle password. Poiché la password universale era cablata all'interno del modulo di autenticazione stesso, resettare le credenziali di ogni utente non è servito a bloccare l'avversario .
Progettazione auto-ripristinante. Le prove raccolte durante l'indagine indicano che la backdoor era stata progettata per sopravvivere a bonifiche parziali. Se il team di sicurezza puliva alcuni host ma lasciava la pila di autenticazione compromessa su altri, il gruppo poteva muoversi lateralmente e ricompromettere le macchine ricostruite .
Il passo finale di bonifica di Sygnia è stato inequivocabile: la rete ha richiesto una ricostruzione completa del sistema operativo di ogni host coinvolto, usando supporti di sola lettura notoriamente integri. La rimozione selettiva di file o la ri-generazione parziale dell'immagine erano insufficienti .
Il modello operativo
Il successo di Velvet Ant non si basa su catene di attacco esotiche. Piuttosto, il gruppo dimostra un manuale operativo maturo, incentrato sulla pazienza e sul camuffamento a livello di autenticazione.
Modello Operativo
Comportamento Osservato
Accesso iniziale dal perimetro
Sfrutta appliance aziendali non aggiornate, in particolare F5 BIG-IP e switch Cisco Nexus, esposti su Internet come teste di ponte verso le reti interne .
Sovversione dell'autenticazione come impianto primario
Evita di usare i classici trojan di accesso remoto (RAT) sugli endpoint e sostituisce invece i componenti che convalidano i login utente su tutta la flotta Linux .
Maglia di persistenza ridondante
Mantiene molteplici punti d'appoggio su diversi segmenti di rete, in modo che la perdita di un punto d'accesso, o persino di un intero appliance, non interrompa l'operazione .
Mimetizzazione nell'ambiente
Si muove lateralmente usando credenziali rubate e strumenti amministrativi standard come SSH, lasciando firme minime di malware personalizzato da rilevare .
Raccolta di credenziali su scala industriale
Cattura password in chiaro da ogni login riuscito sulla rete, accumulando costantemente identità valide senza ulteriore rumore di rete .
Tempo di permanenza estremo
Opera nell'arco di anni, non di giorni o settimane. Questo ritmo basso e lento fa sì che brevi finestre di conservazione dei log e la manutenzione ordinaria possano cancellare le prove forensi .
Attribuzione e attività correlate
Sygnia attribuisce l'Operation Highland a Velvet Ant con alta confidenza e collega il gruppo a obiettivi di spionaggio di stato cinesi . Il gruppo si concentra su grandi organizzazioni dell'Asia orientale, in particolare fornitori di telecomunicazioni e infrastrutture critiche .
Campagne precedenti e parallele forniscono un contesto aggiuntivo. In un caso separato, Velvet Ant ha usato vecchi appliance F5 BIG-IP come proxy di comando e controllo (C2) per almeno tre anni, prima che l'indagine di Sygnia scoprisse l'attività . Il gruppo è stato anche osservato mentre utilizzava i malware PlugX e ShadowPad durante intrusioni precedenti, il che indica un arsenale ampio che spazia sia tra capacità personalizzate che pubblicamente disponibili .
Cosa dovrebbero fare subito i difensori
La lezione di difesa più importante di Operation Highland è che la tradizionale protezione degli endpoint e la rotazione delle credenziali non bastano, quando è la stessa pila di autenticazione a non essere più affidabile.
I difensori dovrebbero dare priorità al monitoraggio dell'integrità dei file, che confronti gli hash crittografici dei binari di sistema critici inclusi /lib/security/pam_unix.so e i binari del demone SSH con delle baseline note e integre, non limitandosi ai soli metadati. Anche il centralizzare tutti gli eventi di autenticazione su un sistema esterno e immutabile è essenziale, perché un aggressore con accessi sufficienti può manomettere i log presenti sull'host. L'autenticazione a più fattori resta una barriera preziosa, ma non protegge direttamente da un servizio PAM manomesso che aggira completamente i controlli di autenticazione.
Operation Highland dimostra che la persistenza più pericolosa non assomiglia affatto a un malware… assomiglia alla schermata di login di cui ti fidi ogni giorno.
Il punto d'ingresso. La violazione è probabilmente iniziata attraverso un vecchio appliance F5 BIG-IP esposto su Internet e mai aggiornato, che l'organizzazione non aveva dismesso. Una volta ottenuto il controllo dell'appliance, gli aggressori l'hanno usato come punto di snodo per muoversi più in profondità, raggiungendo infine il segmento interno isolato dalla rete .
Come funzionava la backdoor
Invece di rilasciare malware personalizzato che scanner e sistemi di rilevamento endpoint avrebbero potuto prima o poi identificare, Velvet Ant ha sovvertito l'architettura di fiducia del sistema operativo. Su decine di host, il gruppo ha sistematicamente sostituito i componenti fondamentali dell'autenticazione Linux Nello specifico, il modulo di autenticazione pluggable pam_unix.so e diversi binari di OpenSSH con versioni trojanizzate .
Da un singolo impianto derivavano due capacità distinte:
Scavalcamento con password universale. I moduli contaminati contenevano una password segreta cablata nel codice. Qualsiasi account utente poteva essere accessibile usando solo questa password, aggirando completamente la normale autenticazione. Anche se gli amministratori avessero ruotato tutte le credenziali, gli aggressori avrebbero potuto comunque entrare indisturbati .
Raccolta silenziosa di credenziali. Ogni evento di login legittimo veniva catturato in tempo reale. Le password in chiaro di ogni utente che si autenticava venivano scritte in un file nascosto situato in /usr/share/awk/nullfile.awk. Questo ha permesso a Velvet Ant di collezionare credenziali valide dell'intera base utenti senza generare il rumore di rete tipico di un movimento laterale .
Perché la bonifica standard ha fallito
I tradizionali manuali di incident response non sono pensati per un nemico che ha ricompilato i binari di login del tuo sistema operativo. Il report di Sygnia chiarisce perché i primi tentativi di bonifica fallirono:
Lacuna di bonifica. La procedura standard rimuovere file sospetti, terminare processi malevoli, ruotare tutte le password non ha avuto alcun effetto sul principale meccanismo di persistenza degli aggressori. Il modulo pam_unix.so e i binari SSH trojanizzati erano file di sistema legittimi a tutti gli effetti, tranne che nella loro logica compilata .
Mascheramento dei metadati. Gli aggressori hanno preservato nomi, percorsi, timestamp e dimensioni approssimativamente uguali a quelli dei file originali. Qualsiasi controllo di integrità dei file basato solo sui metadati, una pratica comune in molti ambienti aziendali non vedeva nulla di anomalo .
Inutilità della rotazione delle password. Poiché la password universale era cablata all'interno del modulo di autenticazione stesso, resettare le credenziali di ogni utente non è servito a bloccare l'avversario .
Progettazione auto-ripristinante. Le prove raccolte durante l'indagine indicano che la backdoor era stata progettata per sopravvivere a bonifiche parziali. Se il team di sicurezza puliva alcuni host ma lasciava la pila di autenticazione compromessa su altri, il gruppo poteva muoversi lateralmente e ricompromettere le macchine ricostruite .
Il passo finale di bonifica di Sygnia è stato inequivocabile: la rete ha richiesto una ricostruzione completa del sistema operativo di ogni host coinvolto, usando supporti di sola lettura notoriamente integri. La rimozione selettiva di file o la ri-generazione parziale dell'immagine erano insufficienti .
Il modello operativo
Il successo di Velvet Ant non si basa su catene di attacco esotiche. Piuttosto, il gruppo dimostra un manuale operativo maturo, incentrato sulla pazienza e sul camuffamento a livello di autenticazione.
Modello Operativo
Comportamento Osservato
Accesso iniziale dal perimetro
Sfrutta appliance aziendali non aggiornate, in particolare F5 BIG-IP e switch Cisco Nexus, esposti su Internet come teste di ponte verso le reti interne .
Sovversione dell'autenticazione come impianto primario
Evita di usare i classici trojan di accesso remoto (RAT) sugli endpoint e sostituisce invece i componenti che convalidano i login utente su tutta la flotta Linux .
Maglia di persistenza ridondante
Mantiene molteplici punti d'appoggio su diversi segmenti di rete, in modo che la perdita di un punto d'accesso, o persino di un intero appliance, non interrompa l'operazione .
Mimetizzazione nell'ambiente
Si muove lateralmente usando credenziali rubate e strumenti amministrativi standard come SSH, lasciando firme minime di malware personalizzato da rilevare .
Raccolta di credenziali su scala industriale
Cattura password in chiaro da ogni login riuscito sulla rete, accumulando costantemente identità valide senza ulteriore rumore di rete .
Tempo di permanenza estremo
Opera nell'arco di anni, non di giorni o settimane. Questo ritmo basso e lento fa sì che brevi finestre di conservazione dei log e la manutenzione ordinaria possano cancellare le prove forensi .
Attribuzione e attività correlate
Sygnia attribuisce l'Operation Highland a Velvet Ant con alta confidenza e collega il gruppo a obiettivi di spionaggio di stato cinesi . Il gruppo si concentra su grandi organizzazioni dell'Asia orientale, in particolare fornitori di telecomunicazioni e infrastrutture critiche .
Campagne precedenti e parallele forniscono un contesto aggiuntivo. In un caso separato, Velvet Ant ha usato vecchi appliance F5 BIG-IP come proxy di comando e controllo (C2) per almeno tre anni, prima che l'indagine di Sygnia scoprisse l'attività . Il gruppo è stato anche osservato mentre utilizzava i malware PlugX e ShadowPad durante intrusioni precedenti, il che indica un arsenale ampio che spazia sia tra capacità personalizzate che pubblicamente disponibili .
Cosa dovrebbero fare subito i difensori
La lezione di difesa più importante di Operation Highland è che la tradizionale protezione degli endpoint e la rotazione delle credenziali non bastano, quando è la stessa pila di autenticazione a non essere più affidabile.
I difensori dovrebbero dare priorità al monitoraggio dell'integrità dei file, che confronti gli hash crittografici dei binari di sistema critici inclusi /lib/security/pam_unix.so e i binari del demone SSH con delle baseline note e integre, non limitandosi ai soli metadati. Anche il centralizzare tutti gli eventi di autenticazione su un sistema esterno e immutabile è essenziale, perché un aggressore con accessi sufficienti può manomettere i log presenti sull'host. L'autenticazione a più fattori resta una barriera preziosa, ma non protegge direttamente da un servizio PAM manomesso che aggira completamente i controlli di autenticazione.
Operation Highland dimostra che la persistenza più pericolosa non assomiglia affatto a un malware… assomiglia alla schermata di login di cui ti fidi ogni giorno.
